ku酷游官网-ku酷游网络股份有限公司

　　《WEB应用安全培训.ppt》由会员分享，可在线阅读，更多相关《WEB应用安全培训.ppt（49页珍藏版）》请在知学网上搜索。

　　XSS本质是在于执行脚本javascript/html等攻击者的js能力越强攻击效果越惊人！XSS漏洞分类：反射型XSS 存储型XSSXSS跨站脚本攻击XSS的危害通过XSS执行的javascript，可以做到窃取你正在浏览的cookies信息篡改你正在浏览的页面，注入误导信息捕获你的所有操作，并发送给黑客从定向到黑客的钓鱼站点利用浏览器的漏洞控制你的机器持久型跨站脚本攻击场景1.正常服务器信息2.服务器存储恶意代码3.用户浏览网页4.服务器将恶意代码返回给用户5.客户端浏览器执行恶意代码Web服务器 重要通知Re:沙发！Re:地板？Re:地下室沙发Re:地下室地板-_-!Re：免费获取Q币！内容：恶意代码Re:谁又发垃圾广告啦？1普通用户客户端34恶意代码执行！5攻击者在论坛发帖子：免费获取Q币！恶意代码2XSS跨站脚本攻击注册用户发帖，内容如下所示XSS跨站脚本攻击Admin用户登录浏览刚才的帖子非持久型跨站脚本攻击场景浏览器浏览器Outlook正常访问恶意代码隐藏在链接中“reflected”代码1From:攻击者To:用户免费赠送Q币！CLICKHERE恶意代码安全上下文:目标站点普通合法会话安全上下文:目标站点攻击者Web服务器普通用户客户端12345恶意代码执行！XSS跨站脚本攻击反射型XSSXSS跨站脚本攻击XSS攻击平台CSRF跨站请求伪造CSRF是什么？nCSRF（Cross-siterequestforgery）跨站请求伪造。

　　n你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账.造成的问题包括：个人隐私泄露以及财产安全跨站请求伪造(CSRF)场景攻击者：小明 受害人：老王 银行网站：恶意网站：银行转账链接： 不同的用户错误 判断出存在admin用户逻辑漏洞找回密码设计缺陷 修改任意用户密码解析漏洞IIS 6.0解析漏洞目录解析/test.asp/test.jpg文件解析/test.asp;1.jpgIIS6.0 默认的可执行文件除了asp还包含这三种/test.asa/test.cer/test.cdx解析漏洞Apache解析漏洞Apache是从右到左开始判断解析，如果为不可识别解析，就再往左判断解析漏洞Nginx解析漏洞/test.jpg/1.php/test.jpg%00.php第三方漏洞FCKeditor编辑器上传漏洞，任意创建文件漏洞eWebEeditor编辑器，上传漏洞，遍历目录漏洞ThinkPHP任意代码执行漏洞Struts2远程命令执行漏洞Web中间件（Tomcat、Weblogic、Jboss）Struts2远程命令执行tomcatJBossFckeditor/ewebeditor/kindeditor遍历目录上传漏洞构造相应语句弱口令什么是弱口令？什么是弱口令？弱口令(weakpassword)没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。

　　如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。

　　部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。